En noviembre de 2025, la Comisión Europea propuso modificar el RGPD con el paquete Digital Omnibus. En las brechas de datos, solo se notificaría a la autoridad cuando hubiera un riesgo alto, en 96 horas y a través de un punto único de entrada en la UE. En las solicitudes de acceso, sería más fácil denegar las excesivas. Nada de esto está aprobado: hoy se aplican las normas actuales.
Propuesta COM(2025) 837 se presentó el 19 de noviembre de 2025 y forma parte de un esfuerzo más amplio para simplificar las normas digitales de la UE. Para quien se ocupa de la protección de datos en el día a día, dos cambios son los que más importan: qué pasa cuando algo sale mal con datos personales y cómo responder a quien pide sus datos.
Qué cambia, punto por punto
| Tema | Hoy | Qué dice la propuesta |
|---|---|---|
| Cuándo notificar a la autoridad | Siempre que sea probable que la brecha constituya un riesgo para las personas Art. 33, apartado 1 | Solo cuando sea probable que entrañe un alto riesgo, el umbral que hoy se aplica para avisar a las personas |
| Plazo | 72 horas desde que se tiene conocimiento, fin de semana incluido | 96 horas |
| Dónde notificar | La autoridad de control competente, como la AEPD en España o la CNPD en Portugal | Un punto único de entrada en la UE, con un modelo común preparado por el CEPD |
| Solicitudes de acceso excesivas | El responsable tiene que demostrar que la solicitud es manifiestamente infundada o excesiva Art. 12, apartado 5 | Basta con tener «motivos razonables para creer» que es excesiva; denegación o un canon cuando el acceso se usa con fines distintos de la protección de datos |
| Evaluaciones de impacto | Listas de cada autoridad nacional | Listas comunes en la UE de los tratamientos que requieren, o no, una evaluación de impacto |
| Registro interno de brechas | Obligatorio para todas las brechas Art. 33, apartado 5 | Se mantiene en todas las versiones en discusión |
Qué dicen el CEPD y el SEPD
En el Dictamen conjunto 2/2026, de 10 de febrero de 2026, el Comité Europeo de Protección de Datos y el Supervisor Europeo de Protección de Datos apoyan varias de estas medidas, con reservas.
Sobre las solicitudes de acceso, comparten el objetivo de dar más claridad, pero piden que se retiren las tres formulaciones sobre solicitudes excesivas. Recuerdan que, según el Tribunal de Justicia en el asunto C-307/22, la persona no tiene que justificar su solicitud.
En qué punto está el proceso
- 19 nov 2025
La Comisión presenta la propuesta COM(2025) 837. - 10 feb 2026
El CEPD y el SEPD publican su dictamen conjunto. - 21 oct 2026 · ahora
Los embajadores de los Estados miembros debaten el mandato de negociación del Consejo. En el Parlamento, las comisiones ITRE y LIBE aún no han votado el informe. - Después
Negociaciones entre el Parlamento, el Consejo y la Comisión. Solo entonces, publicación en el Diario Oficial.
Es otra propuesta, el Omnibus IV. El Parlamento y el Consejo alcanzaron un acuerdo provisional el 26 de junio de 2026: la exención de llevar el registro se aplicará a las organizaciones con menos de 1000 personas, salvo en las actividades de alto riesgo. La votación en el pleno está prevista para el 23 de noviembre de 2026.
Leer la guía del registro de actividades- 1Siga aplicando las 72 horas y el umbral de «riesgo». Son las normas vigentes hasta que se publique un texto.
- 2Registre internamente todas las brechas. Esa obligación no desaparece en ninguna versión.
- 3Responda a las solicitudes de acceso en un mes y no pida a la persona que justifique su solicitud.
- 4Mantenga su registro de actividades, aunque acabe exento. Lo necesita para encontrar los datos.
- 5Suscríbase a la newsletter. Actualizamos este artículo y las guías en cada etapa del proceso.